Bild: Pixabay

Hintertür ermöglicht unerwünschte Aktionen potenzieller Angreifer über das Website-Konto des Opfers. An der Behebung der Lücke wird gearbeitet

Wiener Forscher haben eine kritische Sicherheitslücke entdeckt: Eine Art Hintertür erlaubt es potenziellen Betrügern, sich in die Kommunikation zwischen einer mit Hilfssoftware erstellten Website und einem Nutzer einzuklinken. Das Team von der Technischen Universität (TU) Wien berichtete über seine neuen Erkenntnisse zu "namenlosen" Cookies auf wichtigen IT-Sicherheitskonferenzen in den USA und einer Fachpublikation.

Sind solche im Spiel, kann sich ein potenzieller Angreifer auf einer legitimen Website - zum Beispiel "bank.com" - bei einem Besuch eine Sitzungskennung abholen, um mit dem Server zu kommunizieren, erklärte Squarcina.

Das Opfer wird zu einer kompromittierten Subdomain - sagen wir "hr.bank.com" - geleitet. Diese Seite tauscht das Sitzungscookie im Browser des Opfers gegen das Sitzungscookie des Angreifers aus. Wenn sich das Opfer nun erneut bei "bank.com" anmeldet, kann sich der Angreifer ebenfalls anmelden, weil nun ja beide dieselbe Sitzungskennung verwenden.

So könnte also der Angreifer als unerkannter Trittbrettfahrer unerwünschte Aktionen über das Website-Konto des Opfers abwickeln, wie die Wissenschafter in ihrer Arbeit in den "Proceedings of the 32nd USENIX Security Symposium" darlegen.

An der Behebung der Lücke wird gearbeitet.